Política de Privacidad

El responsable del tratamiento de sus datos es SecondBook SLU (CIF B27662352), con domicilio en Avda. Junta de Compensación 17, 41300 San José de la Rinconada, Sevilla, España.

Para cualquier consulta sobre privacidad, o para ejercer sus derechos, puede escribirnos a soporte@secondbooknow.com.

Esta política explica qué datos tratamos cuando usted utiliza secondbooknow.com, para qué, con quién los compartimos y durante cuánto tiempo los conservamos.

Cuando crea una cuenta tratamos:

• Su nombre, su email y su teléfono (con su país). El teléfono solo lo ve nuestro equipo, nunca otros usuarios; lo usamos para contactarle sobre sus ventas y compras
• Su idioma, su moneda, su zona horaria, sus preferencias de notificaciones y sus preferencias de aspecto (las decoraciones de temporada y el país de su calendario)
• Su contraseña, que guardamos transformada con un algoritmo de un solo sentido (se abre en una pestaña nueva): nadie, ni siquiera nuestro equipo, puede leerla
• Si usa llaves de acceso (passkeys) (se abre en una pestaña nueva), solo su clave pública y el nombre que les dé; sus datos biométricos nunca salen de su dispositivo
• Si activa la verificación en dos pasos (se abre en una pestaña nueva), el secreto de su app de autenticación (cifrado), sus códigos de respaldo (guardados de forma irreversible) y los códigos que le enviamos por email, que caducan a los 5 minutos
• Si entra con Google o Apple, el identificador de su cuenta en ese servicio, su email, su nombre y, en el caso de Google, su foto de perfil

Cada vez que inicia sesión registramos la sesión: la dirección IP (se abre en una pestaña nueva), el navegador y el dispositivo, la ubicación aproximada que se deduce de la IP (ciudad y país) y el método de acceso. También registramos los intentos de inicio de sesión. Lo usamos para mostrarle sus sesiones abiertas, avisarle de los accesos y proteger su cuenta.

Al iniciar sesión, además, guardamos en su navegador una cookie (se abre en una pestaña nueva) con un identificador aleatorio de ese navegador (sb_device), que no se obtiene de ningún dato de su dispositivo. Lo registramos con cada sesión para identificar desde qué navegador se abrió, sustituir la sesión anterior si vuelve a iniciar sesión en el mismo navegador y avisarle cuando alguien inicia sesión en su cuenta desde un dispositivo nuevo. Es una cookie de seguridad estrictamente necesaria: dura 400 días (unos 13 meses), no se borra al cerrar la sesión y no se usa para medir ni para recomendaciones.

Foto de perfil: puede subir la suya. Al subir una foto de perfil eliminamos sus metadatos (como la ubicación o el dispositivo con que se hizo). Si no tiene, usamos la de Google cuando entra con Google o, desde nuestros servidores, consultamos su email en un servicio de avatares que busca fotos de perfil públicas asociadas a un email (nunca si ya tiene foto, y como mucho una vez cada 30 días). Si encuentra una, guardamos una copia en nuestros servidores y la mostramos como su foto. Puede quitarla o cambiarla cuando quiera desde su cuenta; si la quita, no volvemos a buscarla. Puede oponerse en cualquier momento a la búsqueda automática de su foto de perfil desactivando «Buscar mi foto de perfil automáticamente» en Tus datos; a partir de entonces no volveremos a buscarla, y la foto que ya tenga no se borra salvo que usted la elimine.

Para publicar una reserva tratamos:

• Los datos de la reserva: alojamiento, fechas, tipo de habitación, régimen, número de huéspedes y habitaciones, plataforma donde la reservó, precio original y precio de venta
• El nombre del titular de la reserva y su código de confirmación
• Los justificantes que sube (PDF, imágenes o documentos de Word) y una miniatura que generamos de cada uno
• Si vende sin cuenta, su email y su teléfono
• Para pagarle, los datos de su cuenta bancaria: titular, IBAN (se abre en una pestaña nueva), SWIFT (se abre en una pestaña nueva), documento fiscal (DNI, NIE, NIF o pasaporte) y domicilio fiscal

En el anuncio público solo se ven los datos del alojamiento, las fechas, la habitación, los precios, la plataforma donde se reservó y un identificador interno del vendedor. El nombre del titular, el código de confirmación, sus datos de contacto y los justificantes nunca se publican: solo los ven usted y nuestro equipo, que los usa para verificar la reserva y gestionar el cambio de titular.

Los justificantes se guardan en un almacenamiento privado. Los que sube sin llegar a publicar el anuncio se borran a las 24 horas.

Sus datos bancarios se guardan cifrados (AES-256 (se abre en una pestaña nueva)). Usted ve su IBAN enmascarado y solo puede ver los datos completos tras confirmar de nuevo su identidad. Nuestro equipo de pagos accede a ellos para hacerle la transferencia, también tras confirmar la identidad de quien accede, y cada consulta queda registrada.

Vendedores profesionales: si se publica como empresa o profesional, tratamos el nombre o razón social, la dirección, el teléfono, el email, el documento o número de identificación, el registro en el que se está inscrito y la fecha de la autocertificación, para cumplir la obligación legal de trazabilidad de los comerciantes (art. 30 del Reglamento (UE) 2022/2065; base jurídica: art. 6.1.c RGPD). Se guardan cifrados. Mostramos a los compradores el nombre, la dirección, el teléfono, el email y el registro, nunca el número de identificación, y podemos facilitarlos a las autoridades que los soliciten conforme a la ley. Se conservan mientras el profesional tenga anuncios con nosotros y seis meses después de que termine cada anuncio; después se borran automáticamente. Si un profesional vendió a un comprador un producto o servicio ilegal, usaremos el email del comprador para avisarle (art. 32 del mismo Reglamento; obligación legal). Si ya ha vendido antes como empresa o profesional, usamos los datos de su último anuncio para rellenar el formulario del siguiente; puede modificarlos.

Cuando compra, tratamos su nombre y su email, los datos de la reserva que compra (importes, estado y fechas) y, para el cambio de titular, el nombre, el email y el teléfono del nuevo huésped.

Los pagos los procesa Stripe. Los datos de su tarjeta los introduce directamente en el formulario de Stripe y no pasan por nuestros servidores: nunca vemos ni guardamos el número completo. Guardamos los identificadores del pago, el importe, el estado y la información que Stripe nos envía sobre él, que puede incluir la marca y los últimos cuatro dígitos de la tarjeta. A Stripe le enviamos el número de reserva, el alojamiento y su email.

Si hay que devolverle el dinero, el reembolso también se hace a través de Stripe.

Guardamos los mensajes que intercambia con otros usuarios en SecondBook. La otra persona solo ve su nombre; nuestro equipo puede leer las conversaciones para moderar y resolver incidencias.

Para proteger a compradores y vendedores, revisamos cada mensaje antes de entregarlo:

• Primero, con reglas automáticas que detectan datos de contacto (emails, teléfonos, enlaces, IBAN), propuestas de pago fuera de la plataforma, estafas, insultos y spam
• Si las reglas no bastan para decidir, enviamos el mensaje, junto con sus mensajes anteriores más recientes, a OpenAI, que lo clasifica

Si un mensaje infringe las normas, no se envía ni se guarda, y registramos un aviso (strike) con un fragmento del mensaje. Los avisos caducan a los 90 días. En el apartado 15 explicamos qué ocurre si se acumulan.

Denuncias de anuncios: si utiliza «Denunciar este anuncio», tratamos su nombre, su email y el contenido de su denuncia para tramitarla y comunicarle nuestra decisión, en cumplimiento de una obligación legal (art. 16 del Reglamento de Servicios Digitales; art. 6.1.c RGPD); no comunicamos su identidad al vendedor. Conservamos su nombre y su email tres años desde la decisión sobre la denuncia y después los borramos; la denuncia en sí se conserva como registro de moderación.

Guardamos un registro de cada decisión de moderación (qué se decidió, por qué motivo, si intervinieron medios automatizados) y de las reclamaciones, para cumplir el Reglamento de Servicios Digitales (art. 6.1.c RGPD) y defendernos de reclamaciones; si borra su cuenta, el registro se conserva vinculado a la cuenta anonimizada y se eliminan los emails de quien no tenía cuenta. Si sospechamos un delito que amenace la vida o la seguridad de alguien, podemos comunicar los datos necesarios a las autoridades competentes (art. 6.1.c RGPD).

• Emails del servicio: le escribimos sobre su cuenta, sus anuncios, sus compras y ventas y la seguridad de su cuenta. Los de seguridad, los de su cuenta y los de las reservas que compra y sus pagos le llegan siempre. Los avisos que se pueden desactivar, como las novedades sobre sus anuncios y los consejos para vender, puede desactivarlos en los ajustes de su cuenta o con el enlace para darse de baja de cada uno de esos emails
• Newsletter y ofertas: solo si se suscribe, en el pie de la web o en los ajustes de su cuenta. Cada email incluye un enlace para darse de baja con un clic. Si se da de baja, guardamos su email marcado como dado de baja para respetar su decisión
• Recordatorios de lo que ha visto: solo si los activa (apartado 9). Cada uno incluye un enlace para darse de baja que desactiva solo los recordatorios, no la newsletter
• Alertas de destino: si crea una, guardamos, con su consentimiento, su email, el destino y las fechas que le interesan
• Formulario de contacto: guardamos su nombre, su email, su mensaje, el asunto y la página desde la que escribió, y avisamos a nuestro equipo por email y por nuestro canal interno de avisos

Guardamos un registro de los emails que enviamos (destinatario, asunto, plantilla, fecha y estado), sin el contenido de los emails automáticos; de los mensajes de contacto y de los emails de soporte guardamos también el texto. Enviamos los emails a través de Cloudflare.

• Ubicación aproximada: deducimos su ciudad y su país a partir de su dirección IP con un proveedor de geolocalización por IP. Lo usamos en sus sesiones, en los avisos de seguridad y para proteger la plataforma frente a abusos
• Avisos de seguridad: en los emails de seguridad (por ejemplo, los avisos de inicio de sesión) incluimos su IP parcialmente oculta, la ciudad y el país aproximados, el navegador, la hora y un mapa de la zona. El mapa lo generamos nosotros con imágenes de satélite de un proveedor de mapas, al que solo pedimos las imágenes de una zona de aproximadamente 1 km, sin ningún dato suyo. El nombre de la población lo consultamos a un servicio de nombres de lugares, enviando solo la ciudad y el país
• Límites de uso: contamos las peticiones por IP o por cuenta durante unos minutos u horas para frenar abusos y ataques
• Protección del acceso: en el inicio de sesión y el registro usamos Cloudflare Turnstile para distinguir personas de bots, y bloqueamos temporalmente el acceso tras varios intentos fallidos
• Bloqueo de abusos: nuestro equipo puede bloquear el acceso a los visitantes que abusan de la plataforma, mediante identificadores como su IP o su navegador
• Pagos a vendedores: nuestro equipo revisa cada transferencia antes de enviarla

Así protegemos sus datos:

• Cifrado: todas las conexiones van cifradas (HTTPS/TLS (se abre en una pestaña nueva)). Los datos bancarios, los secretos de la verificación en dos pasos y lo que usted escribe en sus peticiones de privacidad se guardan cifrados con AES-256
• Copias de seguridad: cifradas con AES-256 y guardadas en la región europea de Backblaze
• Pagos: los datos de su tarjeta los introduce directamente en el formulario de Stripe y nunca pasan por nuestros servidores
• Acceso interno: solo el equipo que lo necesita, con verificación en dos pasos obligatoria y registro de sus acciones

Ningún sistema es completamente seguro, pero revisamos estas medidas de forma continua.

Si sufrimos una brecha de seguridad que afecte a sus datos personales, la notificaremos a la Agencia Española de Protección de Datos (se abre en una pestaña nueva) en un plazo máximo de 72 horas desde que tengamos conocimiento de ella, salvo que sea improbable que suponga un riesgo para usted.

Si la brecha puede suponer un riesgo alto para sus derechos, también se lo comunicaremos a usted sin dilación indebida, por email. Le explicaremos qué ha pasado, qué datos se han visto afectados, qué hemos hecho para solucionarlo y qué puede hacer usted para protegerse.

Registramos internamente todas las brechas, también las que no es necesario notificar.

Las cookies técnicas hacen que la plataforma funcione (inicio de sesión, idioma, seguridad) y siempre están activas. Las preferencias de aspecto (las decoraciones de temporada y el país del calendario que siguen) son una elección suya, sin relación con los usos opcionales de abajo: se guardan en su cuenta o, si no ha iniciado sesión, asociadas a este navegador.

Además, usamos sus datos para cuatro fines opcionales. Cada uno tiene su interruptor en la página Tus datos, donde puede activarlo o desactivarlo en cualquier momento; el cambio se aplica al instante. Si no ha iniciado sesión, su elección vale para ese navegador. Mientras su cuenta esté en pausa (limitación del tratamiento), no realizamos ninguno de ellos.

• Recomendaciones personalizadas: a partir de lo que mira en la web (destinos, hoteles y anuncios) le sugerimos hoteles y destinos. Base legal: interés legítimo. Están activadas por defecto y puede oponerse desactivándolas
• Medición anónima de visitas: contamos las visitas y lo que más se mira, sin saber quién es usted (más abajo explicamos qué medimos). Base legal: la exención para la medición de audiencia que reconocen la AEPD (se abre en una pestaña nueva) y la CNIL (se abre en una pestaña nueva). Está activada por defecto; si la desactiva, no medimos nada de lo que hace, ni siquiera de forma anónima (solo guardamos el registro de sus propias elecciones de privacidad)
• Medición completa de su uso: estadísticas de cómo usa la web, ligadas a su cuenta o a su navegador, para mejorarla. Base legal: su consentimiento. Está desactivada por defecto y solo funciona si la medición anónima también está activada
• Recordatorios de lo que ha visto: un email si deja a medias una búsqueda, un hotel que estaba mirando o un pago sin terminar. Base legal: su consentimiento. Están desactivados por defecto y necesitan una cuenta con la sesión iniciada (y las recomendaciones personalizadas activadas, porque se basan en ellas). Puede desactivarlos en los ajustes de su cuenta, en la página Tus datos o con el enlace para darse de baja de cada uno de estos emails, que desactiva solo los recordatorios, no la newsletter

Cómo es la medición anónima: usamos una cookie propia (sb_vid, válida 390 días y que nunca se prolonga) y anotamos las páginas visitadas, el tiempo activo, el desplazamiento, los clics en enlaces y botones (nunca el contenido de los formularios) y qué destinos, alojamientos y anuncios se han visto, con su país, idioma y tipo de dispositivo. Son solo recuentos: no se vinculan a su cuenta ni a ninguna persona, y no guardamos su dirección IP, su ubicación precisa ni el identificador completo de su navegador (user agent (se abre en una pestaña nueva)). Nunca se usan para publicidad, perfiles ni recomendaciones, y no se comparten con terceros. Se basa en la exención para la medición de audiencia propia estrictamente necesaria del artículo 22.2 de la LSSI (se abre en una pestaña nueva) según la interpreta la AEPD (guía de cookies de 2023 (se abre en una pestaña nueva)), equivalente a la que aplica la CNIL. Las estadísticas de visitas de onedollarstats (apartado 11) también siguen este interruptor. Además, recogemos mediciones anónimas de velocidad de carga (Web Vitals) sin ningún identificador. Con esta medición también contamos cuántas personas ven cada anuncio y cada alojamiento y cuántas hacen clic en sus reservas, por día y sin saber quiénes son; el vendedor solo ve esos totales de sus propios anuncios.

La cookie sb_vid se crea en cada navegador desde la primera visita, también si desactiva la medición, porque no sirve solo para medir. Además, la usamos para proteger el servicio frente a visitantes que abusan de él (seguridad, por interés legítimo; apartado 7), como clave de lo que se ha mirado en ese navegador para las recomendaciones personalizadas y, solo con su consentimiento, para la medición completa. Si desactiva la medición anónima, dejamos de registrar lo que hace en la web, ni siquiera de forma anónima ni para la medición completa, de modo que a partir de ese momento las recomendaciones tampoco se alimentan de su navegación. Lo que no cambia: la cookie se sigue creando y la seguimos usando para proteger el servicio frente a abusos y para recordar las elecciones de privacidad de ese navegador.

Huella del dispositivo: solo si ha activado la medición completa (con su consentimiento), su navegador calcula, con la librería FingerprintJS, una huella técnica del dispositivo (se abre en una pestaña nueva), es decir, un código resumen generado a partir de características técnicas del navegador y del equipo (como la pantalla, las fuentes instaladas o la forma en que el navegador dibuja gráficos y procesa el audio). No contiene su nombre ni sus datos de contacto. Nos la envía una vez por sesión y la asociamos a su identificador sb_vid, para reconocer el mismo navegador aunque sus cookies se borren o cambien, por ejemplo al proteger el servicio frente a abusos. Sin su consentimiento no se calcula ni se envía, y si retira el consentimiento deja de calcularse.

Con todo ello elaboramos estadísticas anónimas y agregadas (por ejemplo, cuántas personas visitan un destino o qué páginas cargan más lento). No permiten identificar a nadie y no son datos personales; por eso no tienen interruptor.

Encontrará más detalles sobre las cookies en nuestra Política de Cookies.

• Ejecución del contrato: crear y gestionar su cuenta; publicar y verificar anuncios; procesar compras, pagos, reembolsos y transferencias a vendedores; gestionar el cambio de titular; enviarle los emails del servicio y atenderle cuando nos escribe
• Interés legítimo: mantener la plataforma y su cuenta seguras (sesiones, avisos de seguridad, límites de uso, moderación de mensajes y prevención del fraude), recomendarle hoteles y destinos a partir de lo que mira y medir la audiencia de forma anónima (apartado 9), buscar su foto de perfil y avisar a nuestro equipo de la actividad que requiere la atención del equipo
• Consentimiento: newsletter y ofertas, alertas de destino, medición completa de su uso y recordatorios por email de lo que ha visto (apartado 9). Puede retirarlo en cualquier momento
• Obligación legal: conservar la información que la ley nos exija y atender los requerimientos de las autoridades

No vendemos sus datos personales. Los compartimos solo con los proveedores que nos ayudan a prestar el servicio, y solo lo que cada uno necesita:

• Hetzner: nuestros servidores, en Alemania, donde funcionan la aplicación y la base de datos
• Cloudflare: almacenamiento de archivos (fotos, justificantes, mapas), envío de emails, DNS (se abre en una pestaña nueva) y la verificación anti-bots del acceso
• Backblaze: copias de seguridad de la base de datos, en su región europea, y archivo de datos de analítica
• Stripe: procesamiento de pagos y reembolsos
• Google y Apple: inicio de sesión, si elige entrar con ellos
• OpenAI: clasificación automática de los mensajes del chat (apartado 5)
• Servicio de avatares: búsqueda de su foto de perfil a partir de su email (apartado 2)
• Proveedor de geolocalización por IP: ubicación aproximada a partir de su IP
• Proveedores de proxy (se abre en una pestaña nueva): proveedores de red a través de los que salen algunas de nuestras consultas a servicios externos
• Nuestra herramienta de comunicación interna: avisos internos para nuestro equipo, que pueden incluir su nombre y su email (por ejemplo, al recibir su mensaje de contacto o al cerrarse una venta) y, en los informes de errores, su IP y su navegador. Nuestro equipo también puede consultar desde allí los datos de su cuenta
• onedollarstats: estadísticas de visitas sin cookies (páginas vistas y origen de la visita)
• Proveedor de mapas: los mapas de la web; su navegador descarga los mapas de los servidores de ese proveedor, que reciben su IP como en cualquier visita web

Para mostrarle precios de otras webs consultamos a socios nuestros que venden estancias de hotel solo con el destino, las fechas y los huéspedes de su búsqueda, nunca con datos suyos. Si hace clic en una de sus ofertas, saldrá a la web de ese socio, donde se aplica su propia política de privacidad.

El proveedor de las imágenes de satélite y el servicio de nombres de lugares de los avisos de seguridad no reciben datos personales (apartado 7). También podemos comunicar datos a las autoridades cuando la ley lo exija.

Cada proveedor trata sus datos solo para prestarnos su servicio y con obligaciones de protección equivalentes a las nuestras.

Algunos de estos proveedores, como Cloudflare, Stripe, Google, Apple, OpenAI y el proveedor de nuestra herramienta de comunicación interna, son empresas con sede fuera del Espacio Económico Europeo (se abre en una pestaña nueva), principalmente en Estados Unidos, por lo que sus datos pueden tratarse allí.

Si desea más información sobre las garantías que se aplican a cada transferencia, escríbanos a soporte@secondbooknow.com.

Estas transferencias se amparan en las cláusulas contractuales tipo (se abre en una pestaña nueva) aprobadas por la Comisión Europea o, cuando la empresa está adherida, en el Marco de Privacidad de Datos UE-EE. UU. (se abre en una pestaña nueva)

• Registro de emails: 24 meses los mensajes de contacto y de soporte; 12 meses los emails del servicio y los comerciales
• Justificantes subidos sin llegar a publicar el anuncio: 24 horas
• Mapas de zona de los avisos de seguridad: se borran tras 30 días sin usarse
• Medición de audiencia anónima: unos 90 días, y nunca más de 25 meses; mediciones anónimas de velocidad, 90 días
• Avisos (strikes) de moderación: caducan a los 90 días
• Copias de seguridad de la base de datos: unas cinco semanas
• Contadores de límites de uso: entre unos minutos y 24 horas

Las copias de seguridad de la base de datos se conservan como máximo 35 días y no se modifican; si tuviéramos que restaurar una, volveríamos a aplicar todos los borrados solicitados antes de volver a poner el servicio en marcha.

Cada vez que acepta los Términos (al crear una cuenta, al publicar una reserva y en cada compra, con o sin cuenta), registramos la versión aceptada, la fecha, su dirección IP y su navegador. Conservamos este registro, seudonimizado, incluso después de eliminar su cuenta, para poder defendernos frente a posibles reclamaciones.

El resto de los datos (cuenta, sesiones, anuncios y sus justificantes, reservas compradas, pagos, mensajes y suscripciones) no se borra hoy de forma automática. Si desea que los suprimamos, escríbanos a soporte@secondbooknow.com.

Puede ejercer en cualquier momento sus derechos de:

• Acceso a sus datos
• Rectificación
• Supresión
• Limitación del tratamiento
• Oposición
• Portabilidad
• Retirada de su consentimiento, sin que afecte a lo tratado antes

La forma más rápida es la página Tus datos: allí puede ver sus datos y descargar una copia, corregirlos, limitar un uso u oponerse a él y pedir que los borremos. La copia incluye también los datos de empresa o profesional que facilitó en cada anuncio, la motivación de las decisiones de moderación que le afectaron y sus reclamaciones con nuestras respuestas. Confirmamos cada petición con un código o un enlace enviado a su email. Si pide el borrado, se hace a los 30 días y puede anularlo hasta entonces; antes le preparamos una copia de sus datos.

También puede escribirnos a soporte@secondbooknow.com. Le responderemos en el plazo máximo de un mes.

Puede darse de baja de la newsletter, de los recordatorios de lo que ha visto y de los avisos que se pueden desactivar con el enlace de cada email. Los usos opcionales de sus datos (apartado 9) se activan o desactivan en la página Tus datos.

Si considera que no hemos tratado bien sus datos, puede presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es (se abre en una pestaña nueva)).

La moderación del chat es automática (apartado 5). Si acumula 5 avisos en el chat, su cuenta se suspende automáticamente y se cierran sus sesiones: la primera vez, durante 24 horas; si vuelve a ocurrir, de forma permanente.

Puede recurrir la suspensión. Nuestro equipo revisa los recursos y puede retirar los avisos.

Los mensajes del chat se revisan de forma automática, con reglas y un modelo de inteligencia artificial, para bloquear datos de contacto, pagos fuera de SecondBook, insultos y spam; si se acumulan varios bloqueos, la cuenta se suspende automáticamente. Puede solicitar que una persona revise la suspensión desde el enlace del email que le enviamos o desde la pantalla de inicio de sesión, expresar su punto de vista e impugnar la decisión.

Nos reservamos el derecho de modificar esta Política de Privacidad.

Los cambios serán publicados en la plataforma.